Resultaten Ouderenzorg (VVT)

Resultaten Ouderenzorg (VVT) RIVM Onderzoek ICT in de Zorg Maart 2016 Barbara Schooneveldt Adrie de Bruijn Arjan van Drongelen Correspondentie: onderzoek_over_ict@rivm.nl

Algemene statistieken De data representeert circa 20% van de Nederlandse VVT aanbieders. Aantal (fte) zorgprofessionals Aantal respondenten: 105 van de 466 Verpleging, Verzorging & Thuiszorg (VVT) aanbieders (22,5%) 1 Functies respondenten: Aantal (fte) niet-medische medewerkers Hoeveel dagen besteedt u per week aan ICT? Werkt <1 dag p week aan ICT 75% werkzaam in organisaties met >500 zorgprof. De grote meerderheid van de 105 respondenten representeren omvangrijke organisaties; 74% van de organisaties heeft >100 zorgprofessionals in dienst. Conform de diversiteit aan niet ICT-gerelateerde functies van de respondenten, besteedt ca. 60% van de respondenten nauwelijks tijd aan ICT. Bijna 30% houdt zich full-time bezig met ICT. 2 1 Er zijn 466 VVT aanbieders over in totaal 1474 locaties, 400 hiervan zijn lid van Actiz http://statline.cbs.nl http://www.kiesbeter.nl/check-uw-zorgaanbieder/

Algemeen gebruik van ICT in de organisatie Meerjarenplanning is nog in ontwikkeling. Aanbevelingen van leveranciers worden doorgaans gevolgd. Bij 4 op de 5 worden ICT systemen waar nodig aangepast o.b.v. ervaringen en veranderende regelgeving. KORTE DUUR Ad hoc probleem oplossing is bij bijna 50% niet aan de orde, maar bij de rest wel in zekere mate. LANGE DUUR Gebruik van een meerjarenplanning is zeer wisselend. 3

Huidig gebruik van het Cliënten Dossier Ruim de helft werkt uitsluitend of voornamelijk met elektronische cliëntendossiers, daarnaast nog veel gebruik van papier. Op welke wijze worden binnen uw organisatie de cliëntendossiers bijgehouden? Binnen ouderenzorginstellingen wordt het cliëntendossier door meer dan de helft geheel of voornamelijk elektronisch bijgehouden. De andere helft gebruikt papier nog in meer of mindere mate. Er is geen duidelijk verband tussen de grootte van de organisaties (uitgedrukt in # fte zorgprofessionals) en de mate van elektronische dossiervoering. 4

Kenmerken ECD Opvallend is dat het ECD bij bijna 40% op handheld devices (bijv. tablet, smart-phone) geheel/grotendeels beschikbaar is. Vorm Patiënt-/cliëntgegevens kunnen elektronisch worden geraadpleegd en vastgelegd. Het ECD is bij bijna 40% op handheld devices (bijv. tablet, smartphone) geheel/grotendeels beschikbaar. Bij 1/3 is zijn handheld devices niet van toepassing. Intelligentie Het ECD geeft bij de meerderheid geen automatische waarschuwingen (bv. over allergieën, medicatie-interacties, etc.). Advies over behandel-/zorgopties van de patiënt/cliënt is zeer wisselend mogelijk. Wel is dit bij meer dan 36% van de respondenten in ontwikkeling. Toegankelijkheid Voornamelijk alleen voor eigen medewerkers toegankelijk. Invoer gegevens Gegevens worden tijdens of direct na het patiënt-/cliëntcontact in het ECD ingevoerd. Het gebruik van invoer op papier naast het ECD is beperkt. Inzage en invoer door patiënten Bij 1 op de 5 instellingen kunnen patiënten/cliënten hun eigen dossier wel geheel/gedeeltelijk online inzien. Zelf online gegevens toevoegen aan hun eigen dossier is daarentegen niet mogelijk. 5

Gegevensuitwisseling - Versturing Versturing van informatie naar andere zorgorganisaties (binnen naar buiten) gaat voornamelijk op papier. Bij doorverwijzing/overdracht van een patiënt aan een andere zorgverlener worden gegevens door de meerderheid op papier (of andere fysieke informatiedrager) verstuurd. Circa 15 ouderenzorginstellingen werken wel voornamelijk met elektronische gegevens versturing. 6

Andere wijzen van gegevensuitwisseling naar buiten Gegevens worden hoofdzakelijk uitgestuurd per brief, e-mail, mondeling/telefonisch, of per fax. Populair blijven papier, mondeling/telefonisch en de fax. Ook Email wordt veelvuldig gebruikt (63%). Het is niet bekend of dit beveiligde email is. Actiz: Je hebt te maken met emails van families en contact met cliënten in de thuiszorg. Niet duidelijk wat er precies wordt uitgewisseld en of dergelijke gegevensuitwisseling veilig gebeurt. Eveneens onduidelijk hoe uitwisseling met gemeenten plaatsvindt Bijna 29% gebruikt Zorgmail. Elektronische regionale netwerken en het LSP worden mondjesmaat gebruikt, resp. 15% en 4%. NB; Zorgverleners binnen de ouderenzorg kunnen zich niet aansluiten bij het LSP. Actiz licht toe dat er weinig meerwaarde wordt gezien voor de invoering van het LSP. Men ziet meer in de eoverdracht om de overgang van cliënten van cure naar care te ondersteunen 1. Onder Anders, namelijk zijn genoemd: Applicatie- Point, Webservices, EVS, webapplicatie Zorgnazorg, Via Vecozo (gecertificeerde) beveiligde websites 7 1 http://vzi.venvn.nl/standaarden/eoverdracht

Gegevensuitwisseling - Ontvangst Invoer van ontvangen informatie (van buiten naar binnen) gaat vnl. handmatig. Gegevens aangeleverd door zorgverleners van andere organisaties worden over het algemeen handmatig ingevoerd of ingelezen. Wanneer het om aanlevering van gegevens van derden betreft (bv. lab uitslagen), is dit beeld gemixt. 8

Wijze gegevensuitwisseling binnen de organisatie Uitwisseling via het ECD, mondelinge communicatie en e-mail zijn de belangrijkste kanalen binnen de organisatie. De top 4 kanalen zijn het EPD/ECD, mondeling/telefonisch, Email en per formulier/brief. 18% maakt ook gebruik van een elektronisch lokaal netwerk. 5 (5%) Respondenten geven aan gebruik te maken van een app zoals Whatsapp, Facebook messenger of Snapchat. Anders: Via het papieren zorgleefplan, Eigen digitaal Social Portal. 9

Afspraken omtrent gegevensuitwisseling Het gebruik van afspraken over uit te wisselen gegevens, standaarden en richtlijnen is zeer beperkt Afspraken over welke gegevens uitgewisseld moeten worden zijn zeer wisselend gemaakt: Gebruikte standaarden: Of richtlijnen op het gebied van ICT worden gebruikt is bij een groot aantal respondenten onbekend. De groep die wel Ja antwoordt, komt overeen met de respondenten die een ICT-functie hebben. 66% van de respondenten geeft aan geen afspraken te hebben gemaakt over welke standaarden worden gebruikt, of weet dat niet: Ca. 37% gebruikt richtlijnen, maar de rest weet het niet of geeft aan dat dit niet van toepassing is. Genoemde richtlijnen: NEN7510 (6 van de 10 keer), ISO, WBP, EZDA, Nictiz, Actiz, privacy richtlijnen KNMG 10

Ervaren belemmeringen bij gegevensuitwisseling 40% ervaart geen belemmeringen, tegenover 40% wel. Diegenen die problemen ervaren noemden de volgende punten: Standaarden Geen uniform gebruik van standaarden (huisarts-carecure) Fabrikanten/leveranciers Grote afhankelijkheden van de softwarebouwers van de HIS-sen, ZIS-sen en ECD's. Aantal opvallende opmerkingen van respondenten: Er zijn zeker mogelijkheden (en ideeën) voor verdere digitalisering in de keten. Echter dit wordt beperkt c.q. tegengehouden door zaken als uitrol LSP, uitrol SNOMED. ECD is nog niet in gebruik voor zorginhoudelijke stuk, wat uitwisseling bemoeilijkt. Wij hanteren de NEN 7510, NEN 7512, NEN 7513 en spelen in op de nieuwe europeesche wetgeving. Wij ervaren dat andere zorgverlenende organisaties niet allen op dezelfde wijze omgaan met privacygevoelige informatie. Er zijn te veel verschillende platformen. In VVT sector wordt er nog maar weinig data uitgewisseld. Verandering in eisen vanuit bv IGZ, maar ook ECD onderbouwde gewenste wijzigingen in handelswijze, maken dat ECD aangepast zou moeten kunnen worden; zorggerelateerde of administratieve en financiële wijzigingen. Dit kan vaak niet of alleen tegen hoge kosten. Hoe monitor je informatieveiligheid bij uitwisseling met externen? Beveiliging op zorggegevens nooit 100% Gegevensuitwisseling tussen organisaties/ zorgprofessionals Als het om secure email gaat dan kunnen we nog niet met elke collega instelling communiceren Niet allemaal aangesloten bij Zorgmail 11 1 http://nl.wikipedia.org/wiki/osi-model

Gebruik van overige medische ICT De meerderheid van de organisaties gebruikt geen applicaties t.b.v. diagnostiek*, behandeling of monitoring. De meerderheid van de organisaties gebruikt geen applicaties t.b.v. diagnostiek*, behandeling of monitoring. Zo n 12% geeft aan applicaties te gebruiken t.b.v. diagnostiek*. Voor de behandeling of monitoring van cliënten wordt door ca. 32% applicaties gebruikt. Diagnostiek Behandeling of monitoring ECD (Elektronisch Clienten Dossier): MijnCaress, Plancare EVS (Electronisch Voorschrijfsysteem): FarMedRx, Medimo, POINT Medicatie Zorgcommunicatiesysteem: ASCOM, Van Breda ECD: YSIS mulitidisciplinair ECD van GeriMedica voor behandelaars in de chronische zorg Intramed management informatiesysteem voor de paramedische zorg Actiz meldt dat de vraag wellicht verkeerd is geïnterpreteerd: elektronisch voorschrijfsystemen zijn zeer gangbaar; mogelijk zagen de respondenten dit niet aan als applicaties voor behandeling *bijvoorbeeld voor klinische beslisondersteuning al dan niet binnen het EPD/ECD, triage systeem, dermatologie-app, etc. 12

Opmerkingen Huidig gebruik & Gegevensuitwisseling Lastig in te vullen vragenlijst, vb. al door verschil in thuiszorg en intramuraal. Ook hebben we te maken met verschillende zorgverleners die lang niet even ver zijn met ICT. We zitten in de implementatie fase We hebben sinds januari 2015 een nieuw ECD geïmplementeerd. We zijn nog bezig om m.n. de ketencommunicatie in te vullen. Werken met het ECD is sinds kort mogelijk. De implementatie van het gebruik moet grotendeels nog worden opgestart. We zitten middenin de implementatie van een ECD, wat de exacte beantwoording van de vragen bemoeilijkt. We starten binnenkort met ECD project Cliëntgegevens worden beheerd in het programma x van leverancier y. In 2015 wordt overgegaan naar het ECD van leverancier y. Tot op heden bestaat het elektronische deel van het cliëntdossier uit een digitaal opgesteld zorgleefplan (in Word). Met overgang op het ECD gaat tevens gewerkt worden met I-pads zodat rapportages direct bij de cliënt verwerkt kunnen worden. Er wordt dit jaar gestart met een ECD. Daarnaast hebben we een start gemaakt met de invoering van de NEN7510. Clientregistratie en uitwisseling met zorgkantoor gebeurt uiteraard wel elektronisch. De organisatie is in een gevorderd stadium voor start met ECD Er loopt een pilot m.b.t. ECD Op dit moment loopt er een pilot ECD op één kleine afdeling binnen ons woon-zorgcentrum Momenteel loopt een pilot met betrekking tot de invoering van een ECD We zijn maar een kleine organisatie Binnen onze organisatie hebben wij twee stand-alone computers in gebruik (red.: kloostergemeenschap, ECD vnl. op papier) Als kleine zorgorganisatie maken wij weinig gebruik van ICT-systemen. 13

Risicobewustzijn Men heeft maatregelen getroffen voor alle of een aantal bekende risico s. Heb het ook op papier Maatregelen benoemd vanuit risicoanalyses en soms al geïmplementeerd Alle risico's die ik noem zijn een doorgaand proces waar we bezig zijn met het zoeken naar de juiste oplossingen. ICT in ontwikkeling Nog niet zo van toepassing Wordt aan gewerkt 14

Integriteit (n=17) Risicobewustzijn Beschikbaarheid (n=64) Grote afhankelijkheid van techniek: Uitval stroom, netwerk, server, internetverbinding Continuïteit en betrouwbaarheid van ICT systemen. Op het moment dat alles uitvalt is weinig meer terug te vinden van cliënt (red: backup?) Acute beschikbaarheid: Het niet beschikbaar zijn van up-to-date informatie op het moment dat deze voorhanden moet zijn, zeker van kritische informatie Het hangt af van de duur en er zijn wel minimale gegevens zoals medicatie etc. Door uitval ook geen protocollen meer voorhanden, bijvoorbeeld reanimatiebeleid Toegankelijkheid(n=18) Niet of beperkt toegankelijk zijn van het systeem Grote hoeveelheid aan systemen die niet of moeilijk met elkaar communiceren. Bij iedere zorgaanbieder moet alle info apart ingevoerd worden. Gebrek aan goede afspraken overdracht Ontbreken van of beperkte of trage informatieoverdracht in de keten Meerdere systemen die dan naast elkaar lopen en er toch weer geschreven moet worden Niet goed gekoppelde bestanden / Fouten in importeren gegevens. Alle systemen werken anders, dus kunnen niet makkelijk op elkaar aansluiten. Foutieve registratie Dat er gegevens bewust worden aangepast om overlast te veroorzaken. Dit kan van buiten af komen, maar ook door een medewerker. Onvolledig patiënt profiel door verschillende applicaties en ontbreken koppelingen Informatie niet volledig doordat ECD niet voor iedereen beschikbaar is en daardoor (red: gevolg of oorzaak?) gebruik van papier naast ECD. Verkeerde (medische) informatie bij de verkeerde persoon (red: Autorisatie probleem of verantwoordelijkheid probleem?) Betrouwbaarheid gegevens (niet kunnen vertrouwen of gegevens volledig, actueel en correct zijn) Actualiteit en accuratesse bij handmatig ingevoerde informatie (discipline van registreren) Kennis, kunde en gedrag medewerker (n=32) Vertrouwelijkheid (n= 50) Techniek- hacking, phishing etc.: Privacy niet gewaarborgd Informatieverstrekking over cliënten bij de verkeerde persoon/personen. Privacy problemen door centrale opslag van data Slecht omgaan met wachtwoorden / Wachtwoordbeleid Toegangsbeheer niet goed op orde of niet in gebruik in praktijk Inlogaccounts niet op naam Toegang tot klantinformatie door exmedewerkers Gebruik van privé-emailadressen Medische informatie versturen via mail, niet encrypted Diefstal hardware: tablets en smartphones 15 Onvoldoende kennis over applicatie en begeleiding hierin Onkunde: Verkeerd of ondeskundig gebruik van ICT middelen Bewustwording medewerkers. Te weinig zorgvuldigheid of onwetendheid van medewerkers in omgaan met vertrouwelijke gegevens; (computer open laten staan met EPD/ECD inzichtelijk) Een deel van mijn medewerkers heeft (te) weinig kennis van apparatuur en soms zelfs aversie tegen deze ontwikkelingen. Dat veroorzaakt met enige regelmaat dat mensen er verkeerd mee omgaan en dus risico's vormen. Houding/Geen draagvlak t.a.v. ICT. Voorbeeld: er wordt vaak gebruik gemaakt van email om ingescande documenten door te sturen naar externe zorgverleners en/of instanties met hierin cliënt en of privacy gevoelige informatie. Scannen naar email is daarom uitgeschakeld, waarmee ICT ineens als blokkerend wordt gezien. Laag risicobewustzijn MT leden, middenkader en zorgprofessionals m.b.t. digitaal gebruik cliëntgevoelige gegevens. Niet inlezen door medewerkers

Werkbaarheid (n=14) De veranderende regel- en wetgevingen. Gebruiksvriendelijkheid Alle stromen(wlz, GRZ, WMO, PGB) hebben andere eisen waardoor een ECD erg complex wordt als je meerdere clientstromen in huis hebt. Medicatieveiligheid Geen mogelijkheid om te rapporteren. lastige regels Cliëntveiligheid in de thuissituatie, m.n. doordat mensen met Dementie langer thuis moeten blijven. Medicatieveiligheid, met name de groep dementerenden met een beperkt cliëntsysteem. Gebruik mobiele devices Geen duidelijke richtlijnen vanuit huidige NEN 7510/7512 hoe het wel moet. Gevolg: terug naar papier of fysiek contact Handelingsverlegen De inrichting van het systeem geheel wordt aangepast op de vraag van de zorg waardoor verbanden tussen processen onduidelijk worden Doorslaan in identieke registratie op meerdere vlakken, geen koppeling behandeldeel en zorgdeel Systeem wijzigingen in de zorg (zorg-/financien- /administratie-/anderszins gerelateerd maken dat het ECD aangepast zou moeten worden. Maar dit kan vaak niet of tegen hoge kosten. Organisatie (n=14) Faillissementen van aanbieders Niet aanpassen van informatie/afspraken Financieel. Budgeten zijn niet altijd toereikend. Ontbreken van continuïteitsprogramma, bij calamiteiten (zoals brand, langdurige ontruiming) signalering/ monitoring Risico signalering/ Normen Verantwoorde Zorg Bereikbaarheid (telefonie), vooral organisatorisch Door wisselende diensten, personeelsbezetting op een afdeling is het lastig c.q. ondoenlijk te komen tot autorisatie op behandelrelatie/zorgrelatie Beschikbaarheid/vindbaarheid protocollen Teveel vertrouwen op ICT oplossingen waardoor de aandacht en controle verslapt Beleggen taken en verantwoordelijkheden. Organisatie - autorisatie wie kan wat zien in het epd/ecd c.q. bewerken van gegevens etc. problemen met declaraties Onvoldoende beschikbaarheid van kennis om de systemen goed in te richten en up-to-date te houden. Intern applicatiebeheer Gebruik van het systeem, door medewerkers wordt niet juiste werkwijze gebruikt en bijvoorbeeld rapportage niet juist toegepast De techniek (n=10) Lekken van cliënteninformatie door fouten in de oplossingen Backup en restorebeleid is onvoldoende geborgd door leveranciers in de cloud. Implementatie van de standaarden door de software leveranciers. Software: grote afhankelijkheid van de softwarebouwer om te komen tot NEN7510/ NEN7513 certificering Valgevaar bij cliënten waar het valrisico hoog is en de signalering afhangt van de alarmering ECD/EPD mist nu nog uitwijk en moet elke maand 4 uur down i.v.m. onderhoud. Gebruik mobiele devices Niet kunnen vertrouwen op de techniek (bv vals-negatieve meldingen) Verschillende systemen die niet met elkaar "praten, meerdere systemen die dan naast elkaar lopen en er toch weer geschreven moet worden etc. Fouten in importeren gegevens. 16

Risicobewustzijn Meer dan de helft heeft actuele overzichten van applicaties en informatiestromen. Van de kwetsbaarheden wordt nagedacht over beschikbaarheid en vertrouwelijkheid. Software/applicaties Meer dan 60% van de respondenten geeft aan een meer of minder complete en actuele lijst te hebben van software/applicaties (zorg- ICT) die voor de zorg worden gebruikt. Vaak kwetsbaarheden geïnventariseerd, iets minder vaak vervolgstappen. Informatiestromen Circa 55% heeft een actueel overzicht van de patiënt- of cliëntgebonden informatiestromen (koppelingen tussen applicaties) Beschikbaarheid van informatie en vertrouwelijkheid zijn het meest geïnventariseerd. Data-integriteit het minste. Lage respons 17

Risicobewustzijn Opmerkingen van respondenten. Wat wij heel belangrijk vinden is het bewustzijn bij onze medewerkers waar het gaat om informatiebeveiliging. Het grootste component is namelijk hun gedrag. We zijn sinds kort bezig om met name dit onderwerp binnen onze organisatie op te pakken. Dat is ook de reden voor de aanstelling van een informatieadviseur. Risicobewustzijn is nog volop in ontwikkeling. De door IGZ 'verplicht gestelde' PRISMA wordt alleen nog in de zorg ingezet, incidenten worden alleen gemeld als daar cliënten en/of medewerkers bij betrokken zijn. Het is nog niet de gewoonte om bij wijzigingen van processen een PRI op te stellen. Het streven is om dit in 2015 uit te breiden naar niet direct zorg-gerelateerde processen. Tot voor kort viel informatiebeveiliging onder verantwoordelijkheid van de Informatiemanager. Als gevolg van een reorganisatie is deze functie komen te vervallen waardoor deze verantwoordelijkheid niet elders belegd is cq kennis aanwezig is binnen de organisatie. Hoe mooi zou het zijn als er over 10 jaar een landelijk ECD bestaat en alle kosten en inspanningen bij zorgaanbieders weg zijn Complexiteit van de techniek en de regels: ik kan het de medewerkers soms ook niet meer kwalijk nemen. Er zijn veel verplichtingen, inlogsystemen, men is soms gewoon de draad kwijt en dat is niet vreemd. Beheer van, en handelswijze met digitale informatie uit camerabewaking, deurdetectie, tags, bewegingsmelders etc. is complex. Voor kleine instellingen geldt dat een van de medewerkers dit 'er bij' moet doen, waardoor de kans groter is dat een instelling onbedoeld in overtreding is. Voor de cliëntveiligheid is continuïteit van ICT niet van heel groot belang, niet te vergelijken met processen in het ziekenhuis. Uitval van ICT-systemen is vooral hinderlijk. 18

Informatiebeveiliging NEN7510 Circa 30% voldoet aan NEN7510 en ca. 36% voldoet deels. Bij 11% is het onbekend of er aan NEN7510 wordt voldaan. Weinig ouderenzorginstellingen zijn NEN7510 gecertificeerd (4%). Wel is de meerderheid ermee bezig: 36% voldoet deels aan NEN7510 en 26% voldoet geheel maar is niet gecertificeerd. Toch opvallend dat bij 11 organisaties (11%) het onbekend is of er aan NEN7510 wordt voldaan. Na overname door nieuwe ICT leverancier (mei 2015) beantwoorden wij aan NEN 7510 We zijn er mee bezig (3x) Beheer van het ICT programma is uitbesteed (3x) Beheerder is gecertificeerd HKZ norm Er is een nul meting gedaan en de (paar) zwakkere punten worden opgepakt. Daarnaast is de partij die het technisch beheer uitvoert NEN 7510 gecertificeerd 19

Informatiebeveiliging NEN7510 Geïmplementeerde aspecten bij respondenten die hebben aangegeven deels NEN7510 te hebben (n=35). Meer dan 75% van de respondenten noemen 3 van de 15 aspecten: - Er zijn fysieke maatregelen getroffen om onbevoegde toegang tot ruimten en apparatuur (incl. nutsvoorzieningen en bekabeling) tegen te gaan (83%) - Er is beleid vastgesteld voor de toegang tot informatie (80%) - Het beheer van de middelen die voor informatievoorziening worden gebruikt is geborgd (77%) Minder dan 35% van de respondenten hebben 5 van de 15 aspecten geïmplementeerd: - Er is een Information Security Management System ingericht (11%) - Patiënt/cliënten worden geïnformeerd over storingen in informatiesystemen die een negatief effect gehad kunnen hebben op hun behandeling (23%) - Er zijn procedures om informatiebeveiligingsgebeurtenissen en zwakheden kenbaar te maken en corrigerende maatregelen te treffen (26%) - Er zijn formeel beleid, formele procedures en formele beheermatregelen vastgesteld om de uitwisseling van informatie te beschermen (31%) - De achtergrond van medewerkers wordt geverifieerd, zowel bij een dienstverband, als bij inhuur (34%) 20

Informatiebeveiliging NEN7510 Indien Nee, Onbekend of Anders, Welke van de onderstaande stellingen over informatiebeveiliging zijn op uw organisatie van toepassing? (n=32) Van toepassing bij >50% van de respondenten (van hoog naar laag): Van toepassing bij <50% van de respondenten (van laag naar hoog): 1. De computers zijn beveiligd met een up-to-date virusscanner (100%) 2. De ICT-systemen zijn beveiligd met tenminste een 'inlog-naam' en 'password (97%) 3. Het computernetwerk is beveiligd met een beheerde firewall (94%) 4. Per functie* of meewerker zijn de autorisaties vastgesteld (91%) 5. Medewerkers werken altijd onder eigen naam in het ICT-systeem (72%) 6. Gebruikers kunnen geen programma's installeren (69%) 7. Het is niet toegestaan om 'social media' (bijv. WhatsApp) te gebruiken om patiënt-/cliëntgegevens te delen (69%) 8. Toegang patiënt-/cliëntgegevens wordt gelogd (63%) 9. Het is niet toegestaan om openbare cloud-diensten (bijv. Dropbox, icloud) te gebruiken voor patiënt-/cliëntgegevens (59%) 10. Het is niet toegestaan om patiënt-/cliëntgegevens naar privé-accounts te e- mailen(56%) 11. Er zijn procedures opgesteld voor de bediening van ICT-systemen (50%) 1. Surfen op het internet is alleen mogelijk op computers die niet verbonden zijn met het elektronisch patiënt/cliëntdossier (3%) 2. Er is een beleidsplan op het gebied van informatiebeveiliging opgesteld (6%) 3. De 'logs' van toegang tot patiënt-/cliëntgegevens worden regelmatig gecontroleerd (9%) 4. Er is een actieplan opgesteld om de geïdentificeerde risico's op te lossen (16%) 5. Informatiebeveiliging is een terugkerend item in het afdelingsoverleg (16%) 6. Niet BIG-geregistreerde medewerkers tekenen een geheimhoudingsverklaring (22%) 7. Er is een risico-inventarisatie en -analyse uitgevoerd (25%) 8. Voor nieuw personeel wordt een beveiligingsonderzoek (screening) uitgevoerd (28%) 9. Computerschermen op de balies zijn afgeschermd tegen meekijken (28%) 10. Er is een 'clean desk' / 'clear screen' beleid van kracht (34%) 11. De medewerkers in uw organisatie zijn op passende wijze ingewerkt op het gebied van informatiebeveiliging (34%) 12. De verantwoordelijkheden op het gebied van informatiebeveiliging zijn vastgelegd (38%) 13. USB poorten op PCs zijn uitgeschakeld (43%) 21

Informatiebeveiliging NEN7510 Opmerkingen van respondenten: Dit onderwerp staat voor dit jaar hoog op de agenda. Nulmeting is gedaan en was positief. Zaken moeten nog administratief worden verwerkt en geborgd. Wij slaan geen gegevens op in de cloud, maar alleen op eigen servers. Er wordt gewerkt aan de NEN7510 naar verwachting wordt in de loop van dit jaar een audit gedaan. Actiz heeft een handreiking voor het invoeren van ICTbeveiliging op basis van NEN; Basisbeveiligingsniveau Ouderenzorg. Een instapmodel voor het inrichten én onderhouden van informatieveiligheid volgens de NEN 7510 in de VVT-sector. Wij zijn al jaren initiatiefnemer van een NEN groep in onze regio. Daarbij zijn 7 organisaties aangesloten en wisselen we samen ideeën en documenten uit rondom dit onderwerp. Hiermee lopen wij voor op de 'werkelijkheid' aangezien de NEN7510 voor onze branche nog geen verplichting is. Maar we anticiperen graag op wat komen gaat. Informatiebeveiliging binnen onze organisatie heeft momenteel niet het gewenste niveau. We zijn overigens niet NEN 7510 verplicht, maar we streven het wel na. Informatiebeveiliging is voor ons een groot issue aan het worden, recent ECD audit uit laten voeren. Voor een kleine zorginstelling is het kostbaar om behandelaars, de eigen huisartsen, toegang te verlenen tot de digitale omgeving van de instelling. Nu wordt vaak mailverkeer gebruikt, maar dat is niet afdoende beveiligd voor gegevensuitwisseling van cliëntgegevens. Dit geldt ook voor uitwisseling van cliëntgegevens met mantelzorgers. Gezocht wordt naar een nog aan te schaffen ECD daarin voorziet. 22

Inzoomen op: Beleid 45% heeft een ICT beleidsplan, 38% niet. Gedeeltelijk, in de vorm van projectplannen. In concept / wordt op dit moment aan gewerkt Is onderdeel van de jaarplan cyclus / beleidsplan We hebben beleidsplan informatiebeveiliging, deze moet worden geüpdatet beheer is volledig uitbesteed en vastgelegd in een overeenkomst 45% van de ouderenzorginstellingen heeft een actueel ICTbeleidsplan, 38% niet. NB; In kleine organisaties is de noodzaak om vanuit een concreet beleidsplan te werken minder. Van diegenen die dat wel hebben (41) ervaren 15 problemen bij het effectueren van het beleidsplan. Daarbij zijn onvoldoende financiering, onduidelijkheid over (veranderende) regelgeving en onvoldoende personeel gezien als een probleem. 23

Beleid, beheer en aanschaf Toelichting bij Beleid (n=6): Informatiestrategie is qua volwassenheid groeiende. En daar kunnen we nog steeds stappen in maken. De ontwikkeling worden gevolgd en indien nodig meegenomen in het jaarplan. We zijn een kleine organisatie en hebben geen meerjarenplanning op dit gebied. Jaarplanning. Processchema's AOIC (red: Administratieve organisatie en interne controle) aanwezig Meerjaren organisatiestrategieplan biedt basis voor ICT-plan. Hierin worden we ondersteund en geleid door de softwareleverancier. Er is geen meerjaren ICT-beleidsplan, maar er wordt wel in het algehele beleidsplan een lijn uitgezet voor de ICT. Waaraan de jaarplannen worden opgehangen. Directie heeft geen interesse in ICT-systemen. Men vindt het ook normaal dat alles beschikbaar is en gewoon werkt. 24

Inzoomen op: Beheer Het beheer van de ICT-systemen is zeer wisselend georganiseerd. Het beheer van ICT-systemen is zeer wisselend belegd. 28% heeft een ICT-afdeling. Bij 22% is het beheer volledig uitbesteed. 21% heeft het beheer uitbesteed, met daarnaast een gebruiker/superuser. Stellingen Onderstaande stellingen zijn van toepassing volgens respondenten: Wij maken dagelijks back-ups van opgeslagen gegevens Het terughalen van informatie uit de back-ups (data restore) wordt regelmatig getest Gemixte respons, wel overwegend van toepassing. 25

Beleid, beheer en aanschaf Toelichting bij Beheer (n=8): We zijn kleinschalig, om technisch alles bij te houden lukt nooit, je bent afhankelijk van (dure) externe hulp. Afhankelijkheid van ontwikkelingen leveranciers is hier aan de orde. Er wordt gebruik gemaakt van een standaard applicatie. De leveranciers volgt de ontwikkelingen en zorgt voor een adequate inrichting. ICT inzet is nog volop in ontwikkeling. I.v.m. kleine organisatie hebben wij niet 1 functionaris voor ICT, maar onderverdeeld bij meerdere personen. ICT is door ons uit handen gegeven aan een algemene firma die de cloud beheert en daarnaast de firma die verantwoordelijk is voor het ECD. Het afgelopen jaar is er veel aandacht geweest voor de organisatie van het beheer van onze systemen, zowel qua netwerk als de belangrijkste applicaties. Belangrijkste systemen worden beheerd door leveranciers. Testen worden door deze firma's gedaan. Acceptatie door ons. 26

Inzoomen op: Aanschaf Stellingen rond de aanschaf (1) Besluitvorming rond aanschaf Stelling In onze organisatie worden de zorgmedewerkers regelmatig actief benaderd voor het inventariseren van de ICT-behoeften Reactie Bij 52% is dit niet van toepassing. Bij 27% deels van toepassing. De keuze van de aanschaf wordt over het algemeen goed voorbereid. Voor het aanschaffen van een ICT-systeem wordt een uitgebreid programma van eisen opgesteld Bij de keuze voor een ICT-systeem wordt vooral gekeken naar wat door collega zorgverleners in andere organisaties wordt gebruikt Als koper heb ik (te) weinig invloed op de productontwikkelingen van de leverancier Voordat software wordt aangeschaft wordt een testversie door gebruikers geëvalueerd De zorgmedewerkers (gebruikers van het ICT-systeem) hebben een belangrijke stem bij de uiteindelijke keuze Gedeeltelijk (48%) of geheel van toepassing (33%) Bij meerderheid (62% ) is dit niet van toepassing. Bij 23% is dit in ontwikkeling Bij 46% is dit niet van toepassing. Bij 33% deels van toepassing. Wisselend Voor de helft is dat gedeeltelijk van toepassing, 22% wel, 23% niet. Zorgmedewerkers worden echter beperkt betrokken bij de besluitvorming. En of een testversie door gebruikers wordt geëvalueerd wordt zeer wisselend beantwoord. Aansluiting op de zorginhoud Stelling Onze organisatie heeft een duidelijke zorgvisie, waarin de rol van ICT is uitgewerkt Ontwikkelingen in de zorgprocessen sturen de ontwikkelingen in onze ICT-systemen Onze ICT-systemen remmen de ontwikkelingen in de zorgprocessen, bijv. door oudere inflexibele systemen Reactie Niet (40%) of deels (36%) van toepassing Voor meer dan de helft is dat deels van toepassing Bij 58% is dit in ontwikkeling. Bij bijna 30% is dit niet van toepassing Aansluiting van ICT op de zorgprocessen lijkt (nog) niet zeer sterk te zijn. Het antwoord op de laatste stelling is moeilijk te interpreteren; het lijkt erop dat er veel ontwikkelingen zijn in de ICT-systemen die worden gebruikt. 27

Inzoomen op: Aanschaf Stellingen rond de aanschaf (2) Testen Stelling Nadat de bestaande data is overgezet in het nieuwe ICT-systeem wordt de volledigheid en correctheid van de data gecontroleerd Voor de ingebruikname wordt het ICT-systeem getest om na te gaan dat aan alle punten van het programma van eisen wordt voldaan Voor de ingebruikname wordt het ICT-systeem getest om na te gaan dat alle koppelingen met andere interne of externe ICT-systemen goed werken zodat de gegevens correct worden overgedragen De resultaten van de acceptatieprocedure van nieuwe of aangepaste ICTsystemen wordt schriftelijk vastgelegd en gerapporteerd aan de directie Reactie Geheel (57%) of gedeeltelijk (25%) van toepassing Geheel (53%) of gedeeltelijk (22%) van toepassing Geheel (54%) of gedeeltelijk (28%) van toepassing Wisselend, overwegend niet van toepassing (32%) De meerderheid test uitgebreid; check PvE, systeem en koppelingen testen en controle van volledigheid en correctheid van de data. Het vastleggen van de resultaten van de procedure gebeurt wel wisselend (eerder niet dan wel). Trainen Stelling Alle gebruikers worden getraind voordat nieuwe of aangepaste ICT-systemen in gebruik worden genomen. Een deel van de gebruikers wordt getraind voordat nieuwe of aangepaste ICT- systemen in gebruik worden genomen. Deze gebruikers trainen de overige collega s. De gevolgde training wordt in het personeelsdossier van de medewerker gedocumenteerd Reactie Wisselend, veel deels (38%) Deels (42%) of geheel (36%) van toepassing Zeer wisselend Bij ouderenzorginstellingen wordt een deel van gebruikers getraind, welke vervolgens de overige collega s trainen. Het documenteren daarvan is zeer wisselend. 28

Beleid, beheer en aanschaf Toelichting bij aanschaf (n=4): Rapportage/documentatie Acceptatietesten worden niet altijd aan de directie gerapporteerd. Wel aan de stuurgroep, business eigenaar en I&A manager Resultaten acceptatieprocedure worden gerapporteerd aan de proces-eigenaar ipv aan de directie / RvB. Training Afhankelijk van de impact worden alle medewerkers geschoold of worden er een aantal geschoold die de informatie over dragen aan collega s Er wordt gewerkt met een zeer gebruiksvriendelijk systeem. Eindgebruikers worden veelal schriftelijk geïnstrueerd waarbij ook ondersteuning op locatie wordt geboden. 29